GDPR
I. Einleitung
Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (Datenschutz-Grundverordnung, DSGVO) in Deutschland und allen anderen Mitgliedstaaten der Europäischen Union verbindlich anwendbar. Zur Umsetzung der DSGVO wurde in Deutschland das Bundesdatenschutzgesetz (BDSG) angepasst.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie die Datenschutzbehörden der Bundesländer überwachen, beraten und setzen die DSGVO sowie deren nationale Ausführungsvorschriften durch.
Das deutsche Datenschutzsystem steht vollständig im Einklang mit der DSGVO und ergänzt diese durch spezifische nationale Regelungen, um ein hohes Schutzniveau für personenbezogene Daten sicherzustellen.
II. Anwendungsbereich
Die deutschen Ausführungsvorschriften zur DSGVO gelten für:
Alle in Deutschland niedergelassenen Verantwortlichen (Verantwortlicher) oder Auftragsverarbeiter (Auftragsverarbeiter);
Organisationen außerhalb Deutschlands, die Waren oder Dienstleistungen an Personen in Deutschland anbieten oder deren Verhalten innerhalb Deutschlands beobachten.
Unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb Deutschlands erfolgt, findet die DSGVO Anwendung, sofern personenbezogene Daten von Personen in Deutschland betroffen sind.
Der Anwendungsbereich umfasst sowohl automatisierte Verarbeitungen als auch nichtautomatisierte Verarbeitungen, sofern diese Bestandteil eines Dateisystems sind. Rein persönliche oder familiäre Tätigkeiten fallen nicht in den Geltungsbereich.
III. Grundsätze der Datenverarbeitung
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Jede Datenverarbeitung bedarf einer klaren Rechtsgrundlage und muss für die betroffene Person nachvollziehbar sein.
Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke verarbeitet werden.
Datenminimierung: Es dürfen nur solche Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind.
Richtigkeit: Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein.
Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für die Erreichung des Verarbeitungszwecks notwendig ist; anschließend sind sie zu löschen oder zu anonymisieren.
Integrität und Vertraulichkeit: Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen ergreifen, um Daten vor Verlust, Manipulation oder unbefugtem Zugriff zu schützen.
IV. Rechte der betroffenen Personen
Nach der DSGVO und dem deutschen Recht stehen betroffenen Personen folgende Rechte zu:
Recht auf Information und Auskunft: Auskunft über die verarbeiteten Daten und deren Verarbeitungszwecke.
Recht auf Berichtigung: Korrektur unrichtiger oder unvollständiger Daten.
Recht auf Löschung (Recht auf Vergessenwerden): Löschung personenbezogener Daten unter den gesetzlichen Voraussetzungen.
Recht auf Einschränkung der Verarbeitung: Begrenzung der weiteren Verarbeitung in bestimmten Fällen.
Recht auf Datenübertragbarkeit: Erhalt der Daten in einem strukturierten, gängigen und maschinenlesbaren Format sowie Übermittlung an einen anderen Verantwortlichen.
Widerspruchsrecht: Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen oder im öffentlichen Interesse beruhen.
Rechte im Zusammenhang mit automatisierten Entscheidungen: Schutz vor ausschließlich automatisierten Entscheidungen einschließlich Profiling sowie Anspruch auf menschliches Eingreifen.
Für Minderjährige unter 16 Jahren gilt in Deutschland eine besondere Regelung: Die Verarbeitung ihrer Daten erfordert grundsätzlich die Einwilligung der Eltern oder Erziehungsberechtigten, wobei Informationen in klarer und verständlicher Sprache bereitzustellen sind.
V. Pflichten von Auftragsverarbeitern und Verantwortlichen
Auftragsverarbeiter dürfen personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten.
Es sind angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen.
Auftragsverarbeiter unterstützen den Verantwortlichen bei der Erfüllung gesetzlicher Pflichten, insbesondere bei der Bearbeitung von Betroffenenanfragen.
Im Falle einer Datenschutzverletzung ist der Verantwortliche unverzüglich zu informieren; dieser muss die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden benachrichtigen.
Verantwortliche müssen ein Verzeichnis von Verarbeitungstätigkeiten führen und bei risikoreichen Verarbeitungen eine Datenschutz-Folgenabschätzung (DPIA) durchführen.
Bestimmte Organisationen sind verpflichtet, einen Datenschutzbeauftragten (DPO) zu benennen und bei der zuständigen Aufsichtsbehörde zu melden.
VI. Internationale Datenübermittlungen
Bei der Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union muss ein angemessenes Datenschutzniveau gewährleistet sein. Dies kann erfolgen durch:
Einen Angemessenheitsbeschluss der Europäischen Kommission;
Den Abschluss von Standardvertragsklauseln (SCCs);
Andere nach der DSGVO zulässige Übermittlungsmechanismen.
Nach dem Wegfall des EU-US-Privacy Shield am 16. Juli 2020 müssen deutsche Unternehmen die aktualisierten EU-Standardvertragsklauseln vom 4. Juni 2021 oder andere zulässige Instrumente verwenden.
VII. Aufsicht und Durchsetzung
Die deutschen Datenschutzbehörden – insbesondere der BfDI sowie die Landesdatenschutzbehörden – verfügen über umfassende Kontroll- und Sanktionsbefugnisse. Dazu gehören:
Verwarnungen und Anordnungen zur Abhilfe;
Einschränkung oder Untersagung von Datenverarbeitungen;
Verhängung erheblicher Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
Darüber hinaus erlaubt das deutsche Recht betroffenen Personen, verbindliche Anweisungen zur Verarbeitung ihrer Daten – auch für den Fall ihres Todes – zu erteilen. Fehlen solche Anweisungen, erfolgt die Verarbeitung im Rahmen der gesetzlichen Bestimmungen.
Der deutsche Durchsetzungsrahmen der DSGVO dient dem Schutz der Persönlichkeitsrechte, der Stärkung der unternehmerischen Compliance und der Förderung des Vertrauens in die digitale Wirtschaft.